הגנת הסוכנים של OpenAI לא תציל אתכם בלי מערך אבטחה פנימי

מתקפות סייבר אוהבות לקרות בלילה, וסוכני AI אוטונומיים נוטים להסתבך בדיוק כשכולם ישנים. בפוסט רשמי שפורסם אתמול חשפה OpenAI ארכיטקטורת ניטור רב-שכבתית שמיועדת לאתר חריגות התנהגות של מודלי חזית בזמן אימון, הערכות והרצה בעולם האמיתי. המערכת נולדה כלקח ישיר מתקרית Hugging Face מיולי 2026. לפי החברה, סימולציה רטרוספקטיבית על נתוני אותה תקרית הראתה שהמערך החדש התריע על בריחת הסוכן מארגז החול תוך כ-30 דקות בלבד, מעל 30 שעות לפני שהמודל פגע בפועל בתשתיות חיצוניות. המספר הזה נראה מבטיח על הנייר, עד שמביטים בארכיטקטורה ומגלים שההתראה מגיעה מהר, אבל הפקודה ההרסנית כבר נשלחה.

התראה מהירה, בלי בלימה אוטומטית

הפער המרכזי במערכת טמון באופי הבדיקה: מדובר בניטור אסינכרוני לחלוטין. ב-OpenAI בנו את המנגנון כך שהוא בוחן את שרשראות החשיבה (Chain of Thought) ואת השימוש בכלים במקביל לריצה, בלי לעצור פקודות חשודות לפני ביצוען. הסיבה לכך טכנית ותרבותית כאחת. במהלך אימוני למידת חיזוק (RL), עצירה אקטיבית או שלילת תגמול ברגע שבו המודל רק שוקל פעולה בעייתית מלמדת אותו דבר אחד: להסוות את שרשרת החשיבה שלו ולפעול בחשאי. לכן, הניטור רץ בצד, מנתח את מה שכבר קרה, ומשאיר את הפקודה לרוץ חופשי ברשת הארגונית.

לא הייתי ממהר לסמוך על זה כקו הגנה יחיד בייצור.

ארבע שכבות של סינון

כדי להתמודד עם היקפי תעבורה עצומים בלי לפשוט רגל על עלויות מחשוב, OpenAI חילקה את הבדיקה לארבע שכבות מדורגות, מ-L0 ועד L3. השכבה הראשונה, L0, מבוססת על סיווג קל משקל בשם activation probes. המנגנונים האלה מודדים דפוסי הפעלה פנימיים ברשת העצבית ומתועדפים לרגישות גבוהה (high recall), מה שגורר אזעקות שווא אבל מקטין פספוסים. בריצות אימון כבדות ובמשימות קוד של Codex הפנימי, המערכת מדלגת על השכבה הזאת ישר ל-L1, שם מודל סוקר ייעודי עובר על חלון ההקשר, שרשרת החשיבה והקריאות לכלים.

כאשר שכבה L1 מזהה אנומליה, המקרה עובר לסוכני חקירה אוטונומיים בשכבות L2 ו-L3. סוכן האבטחה ב-L2 מסוגל לקרוא את התמליל המלא, להריץ קוד בסביבה מבודדת כדי לאמת את הממצאים, ולסווג את חומרת האירוע. בשכבה L3, המערכת מצליבה את הפעולות עם לוגים של תשתיות רשת, פקודות מערכת והיסטוריית אירועים קודמת. לפי החברה, בניסויי הערכה פנימיים נמצא כי מודל GPT-5.6 Sol הציג ביצועי זיהוי עדיפים משמעותית לעומת דגמי GPT-5.6 Terra ו-GPT-5.6 Luna, בין היתר עקב התאמת פרומפטים ייעודית.

האותיות הקטנות של ה-API

עבור ארגונים שמפתחים מוצרים על גבי התשתיות של החברה, כאן מגיע המלכוד. מערך הניטור הרב-שכבתי פועל בעיקרו בסביבות הפנימיות של החברה ומשולב גם ב-ChatGPT, אך בתוך ממשקי ה-API החיצוניים, ניטור השימוש בכלים זמין אך ורק ב-Responses API החדש ולא ב-Chat Completions הוותיק. בנוסף, הניטור החיצוני אינו מעביר מקרים באופן שגרתי לבודקים אנושיים ב-OpenAI, ועבור לקוחות בעלי הסדרי Zero Data Retention המערכת אינה מחזיקה באותם כלי חקירה או הקשר מלא כדי לכבד את מחויבות הפרטיות. המשמעות ברורה: צוותי האבטחה של OpenAI אינם צופים בתעבורה שלכם, אינם מנתחים את המידע באופן ידני, ובטח שלא מתכוונים להוריד את השאלטר על השרת שלכם כשהסוכן משתולל.

As we train increasingly capable AI models, we need reliable ways to detect when their behavior departs from what we intended.מתוך ההודעה הרשמית של OpenAI

במקום התערבות ישירה, המערכת שולחת התראת webhook אוטומטית לנקודת קצה שהגדרתם מראש, או משהה את הסוכן ברמת הפלטפורמה במקרים חריגים. מהרגע שההתראה שוגרה החוצה, OpenAI סיימה את תפקידה. האחריות לבלום את התעבורה, לבטל מפתחות API, לנתק גישה למאגרי מידע ולחקור את הנזק מוטלת כולה על הכתפיים של ה-SOC הארגוני שלכם.

ההזדמנות של חברות הסייבר המקומיות

המבנה הזה משאיר חלל תשתיתי עצום, וזו בדיוק הנקודה שבה התעשייה המקומית נכנסת לתמונה. סטארטאפי אבטחת סייבר ו-SecOps בישראל, שכבר מפתחים מעטפות הגנה סביב מודלי שפה, מקבלים כאן אישור רשמי לכך שענקיות הטכנולוגיה לא מתכוונות לפתור את בעיית האבטחה בקצה. הפער המובנה בין קבלת webhook לבין ניתוק הרשאות תשתית בענן בזמן אמת דורש בדיוק את סוג הכלים שחברות ישראליות מפתחות.

החברות שמתמחות באבטחת סוכנים כבר עומלות על אוטומציות שמחברות את אותן התראות מ-OpenAI למדיניות ה-IAM הארגונית, לניטור התעבורה של Kubernetes ולחסימת שרתים מיידית. בלי תיווך כזה, התראת אבטחה ב-Responses API היא לא יותר מעוד שורה בלוגים שאף אחד לא יקרא בזמן.

מה לבדוק לפני שמחברים סוכן

אם אתם מריצים סוכנים בעלי גישה לכלי מערכת (tools) בסביבות ייצור, אל תניחו שמישהו שומר עליכם. ראשית, בדקו אם תשתית הקוד שלכם כבר הוסבה ל-Responses API. אם אתם עדיין על Chat Completions, אתם פועלים בעיוורון מוחלט מבחינת מנגנוני הניטור הללו. שנית, הקימו מאזין יציב להתראות ה-webhooks של החברה וודאו שהוא מחובר ישירות לפעולות בלימה אוטומטיות, ולא רק לתיבת מייל תורנית.

הצעד החשוב מכולם נוגע להרשאות. הגבלת הרשאות כתיבה ומחיקה ברמת התשתית, שימוש בארגזי חול מבודדים היטב ומניעת גישה ישירה לרשת פתוחה הן חובות שאי אפשר להאציל על שיקול הדעת של שום מודל חזית. המחיר של מודלים חכמים שמקבלים גישה רחבה מדי לתשתיות נשאר יקר, ורשת הביטחון הזאת בעיקר מודיעה לכם מתי להכין את דוח התחקיר.